Obligations des déployeurs selon les art. 26–27 de la Loi sur l'IA de l'UE

Aperçu

Ce ne sont pas seulement les développeurs de systèmes d'IA qui sont soumis à des exigences réglementaires. Les entreprises, autorités ou organisations qui déploient un système d'IA sont également considérées comme des déployeurs au sens de la Loi sur l'IA de l'UE -- et portent des obligations propres.

Ce rôle est particulièrement pertinent pour les entreprises qui utilisent des systèmes d'IA de fournisseurs tiers (p. ex. outils de recrutement, logiciels de scoring de crédit ou chatbots IA).

Cet article explique :

• Qui est considéré comme déployeur
• Quelles obligations les art. 26--27 prévoient
• Quand les déployeurs peuvent devenir fournisseurs
• Comment les obligations des déployeurs diffèrent de celles des fournisseurs
• Quelles étapes pratiques sont nécessaires maintenant

Qui est « déployeur » ?

Un déployeur est toute personne physique ou morale qui :

• Utilise un système d'IA dans son propre domaine de responsabilité
• L'intègre dans des processus métier
• Prend des décisions sur la base des résultats de l'IA

Exemples :

• Une entreprise utilise un système de recrutement par IA
• Une banque déploie un outil de scoring de crédit
• Une université utilise l'IA pour la notation d'examens

Obligations principales des déployeurs (Art. 26)

Les déployeurs de systèmes d'IA à haut risque doivent notamment :

1. Utiliser le système conformément à sa finalité prévue
2. Assurer la supervision humaine
3. Garantir la qualité des données d'entrée
4. Surveiller les performances du système
5. Signaler les incidents
6. Remplir les obligations de transparence envers les personnes concernées

Utilisation conforme

Le système d'IA ne peut être déployé que :

• Dans le cadre du champ d'application prévu
• Conformément à la documentation du fabricant
• Dans le respect des instructions fournies

Un déploiement en dehors de la finalité prévue peut :

• Entraîner des violations juridiques
• Augmenter les risques de responsabilité
• Faire basculer le rôle de déployeur vers celui de fournisseur

Supervision humaine

Les déployeurs doivent s'assurer que :

• Du personnel qualifié supervise le système
• L'intervention est possible
• Les décisions peuvent être réexaminées
• Les dysfonctionnements sont détectés

En pratique, cela signifie :

• Former les employés
• Définir des responsabilités claires
• Établir des processus d'intervention

Qualité des données d'entrée

Les déployeurs portent la responsabilité de :

• La pertinence des données d'entrée
• L'évitement des biais évidents
• L'actualité des données

Exemple : Si un système de scoring de crédit est alimenté avec des données clients erronées, la responsabilité incombe au déployeur -- pas au fournisseur.

Surveillance et suivi des performances

Les déployeurs doivent :

• Surveiller les résultats du système
• Documenter les anomalies
• Détecter les écarts de performance
• Procéder à des ajustements si nécessaire

Cela est particulièrement pertinent pour :

• Les systèmes RH
• Les décisions financières
• Les systèmes éducatifs

Obligations de signalement

Les incidents graves ou dysfonctionnements doivent être :

• Signalés au fournisseur
• Le cas échéant, signalés aux autorités de surveillance du marché compétentes

Exemples :

• Discrimination systématique
• Failles de sécurité
• Décisions erronées graves

Évaluation de l'impact sur les droits fondamentaux (FRIA)

Dans certains cas, les déployeurs doivent réaliser une évaluation de l'impact sur les droits fondamentaux.

Celle-ci est particulièrement pertinente pour :

• Les autorités publiques
• Le déploiement à grande échelle avec des implications significatives sur les droits fondamentaux

La FRIA évalue :

• Les impacts potentiels sur les droits fondamentaux
• Les risques de discrimination
• Les déficits de transparence
• Les mécanismes de contrôle

Transparence envers les personnes concernées

Selon le domaine de déploiement, les personnes concernées doivent être informées de :

• L'utilisation d'un système d'IA
• Le type d'aide à la décision
• Les possibilités de réexamen humain

Cela peut coïncider avec les obligations d'information du RGPD.

Quand un déployeur devient-il fournisseur ?

Un déployeur peut devenir fournisseur s'il :

• Modifie substantiellement le système
• Intègre ses propres composants d'IA
• Distribue le système sous sa propre marque
• Modifie significativement la finalité prévue

Dans ce cas, toutes les obligations de fournisseur s'appliquent en complément.

Distinction fournisseur vs. déployeur

De nombreuses entreprises assument les deux rôles.

Lien avec le RGPD

Les déployeurs doivent en outre vérifier :

• Art. 22 RGPD (décisions automatisées)
• Obligations de transparence (art. 13/14 RGPD)
• Analyse d'impact relative à la protection des données (art. 35 RGPD)
• Transferts vers des pays tiers pour l'IA cloud

Un examen isolé de la Loi sur l'IA est donc insuffisant.

Mise en œuvre pratique

Étape 1 -- Clarification des rôles

• Sommes-nous exclusivement déployeurs ?
• Avons-nous modifié le système ?
• Le redistribuons-nous ?

Étape 2 -- Analyse du déploiement

• Le déploiement correspond-il à la finalité prévue ?
• Les formations ont-elles été réalisées ?
• Les processus de surveillance sont-ils définis ?

Étape 3 -- Documentation

• Directives internes pour l'utilisation de l'IA
• Attestations de formation
• Protocoles de surveillance
• Processus de signalement des incidents

Étape 4 -- Interface protection des données

• Une AIPD est-elle nécessaire ?
• Les personnes concernées sont-elles informées ?
• La transparence est-elle suffisante ?

Prochaines étapes

1. Identifiez votre rôle dans l'écosystème IA.
2. Vérifiez si votre système d'IA est à haut risque.
3. Implémentez des processus de surveillance internes.
4. Formez les employés responsables.
5. Documentez toutes les mesures de déploiement et de contrôle.